CVE-2026-77037
Açıklama
multer, Node.js'de multipart/form-data işlemleri için kullanılan bir ara katmandır. Versiyon 2.2.0'da, disk tabanlı bir yükleme yazma akışı tamamlanmadan önce iptal edildiğinde veya kesildiğinde, multer'ın disk depolama motoru görünür dosyayı kaldırır ancak alttaki yazma dosya tanımlayıcısını kapatmaz; bu da silinmiş ancak hala açık olan bir tanımlayıcı bırakır. Yerleşik disk depolamasını kullanan bir yükleme rotasına erişebilen uzak bir saldırgan, her biri bir dosya tanımlayıcısı sızdıran ve işlem sonlanana kadar disk bloklarını tutan tekrarlayan iptal edilmiş veya hatalı biçimlendirilmiş multipart yüklemeleri göndererek kaynakların tükenmesine ve hizmet reddine (DoS) neden olabilir. Sorun, anormal kaynak sonlandırmasında hedef yazma akışını kapatan ve temizliği akış kapanana kadar erteleyen multer 2.3.0 versiyonunda düzeltilmiştir. Gidermek için multer 2.3.0 sürümüne yükseltin.
Nasıl düzeltilir
- multer2.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| expressjs multer | 2.2.0 | — |
| multernpm | 2.2.0 ≤ v < 2.3.0 | 2.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.